CVE-2025-53533
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Interfejs administracyjny Pi-hole w wersjach 6.2.1 i wcześniejszych jest podatny na odzwierciedlony atak XSS poprzez nieprawidłowo sformułowaną ścieżkę URL. Strona błędu 404 zawiera żądaną ścieżkę w atrybucie class tagu body bez odpowiedniego oczyszczania lub escapowania.
Ocena ryzyka
Atakujący może utworzyć złośliwy link, który po odwiedzeniu przez ofiarę wykona dowolny kod JavaScript w jej przeglądarce. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych szkodliwych działań w kontekście interfejsu Pi-hole.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Pi-hole do wersji 6.3 lub nowszej, która zawiera poprawkę. Należy również poinformować użytkowników o ryzyku klikania w podejrzane linki.
Inne podatności w Pi-hole Admin Interface
Zobacz wszystkie- CVE-2026-33405Niskie
W interfejsie administracyjnym Pi-hole funkcja formatInfo() w pliku queries.js renderuje wartości data.upstream, data.client.ip oraz data.ede.text do HTML bez escapowania podczas rozwijania wiersza zapytania w dzienniku zapytań. Umożliwia to przechowywaną iniekcję HTML; wykonanie JavaScriptu blokuje CSP serwera (script-src 'self'). Podatność naprawiono w wersji 6.5.
- CVE-2026-33406Średnie
Pi-hole Admin Interface w wersjach od 6.0 do przed 6.5 umieszcza wartości konfiguracyjne z punktu końcowego /api/config bezpośrednio w atrybutach HTML value="" bez escapowania w pliku settings-advanced.js, umożliwiając wstrzyknięcie atrybutów HTML. Podwójny cudzysłów w dowolnej wartości konfiguracji pozwala wyjść z kontekstu atrybutu. Wykonanie JavaScriptu jest blokowane przez CSP serwera (script-src 'self'), ale wstrzyknięte atrybuty mogą zmienić styl elementów w celu przeprowadzenia UI redressing. Głównym wektorem ataku jest import złośliwej kopii zapasowej teleporter, która omija walidację po stronie serwera dla poszczególnych pól.
- CVE-2026-33404Niskie
W interfejsie administracyjnym Pi-hole nazwy hostów i adresy IP klientów z bazy FTL są renderowane do DOM bez escapowania w plikach network.js oraz charts.js/index.js. Mimo że walidacja w dnsmasq i FTL blokuje znaki HTML w normalnych ścieżkach DHCP/DNS, interfejs nie wykonuje escapowania wyjścia, co jest niespójne z innymi polami. Podatność naprawiono w wersji 6.5.
- CVE-2026-33403Średnie
W interfejsie administracyjnym Pi-hole (wersje od 6.0 do przed 6.5) istnieje podatność Reflected DOM-based XSS w pliku taillog.js. Nieuwierzytelniony atakujący może wstrzyknąć dowolny HTML do interfejsu poprzez spreparowany URL, ponieważ parametr file jest wstawiany do innerHTML bez escapowania. Brak dyrektywy form-action w Content-Security-Policy umożliwia eksfiltrację danych uwierzytelniających przez wstrzyknięte formularze. Podatność naprawiono w wersji 6.5.
- CVE-2025-59151Wysokie
Interfejs administracyjny Pi-hole przed wersją 6.3 jest podatny na wstrzyknięcie znaków CRLF. Podczas żądania do pliku z rozszerzeniem .lp aplikacja wykonuje przekierowanie bez odpowiedniego oczyszczania danych wejściowych. Atakujący może wstrzyknąć znaki powrotu karetki i nowej linii (%0d%0a), manipulując nagłówkami i treścią odpowiedzi HTTP, co umożliwia wstrzyknięcie dowolnych nagłówków odpowiedzi, prowadząc do fiksacji sesji, zatrucia pamięci podręcznej oraz osłabienia lub obejścia mechanizmów bezpieczeństwa przeglądarki, takich jak CSP czy X-XSS-Protection.
- CVE-2025-32785Średnie
Interfejs administracyjny Pi-hole w wersjach przed 6.3 jest podatny na ataki cross-site scripting (XSS) poprzez pole Address w sekcji zarządzania listami subskrybowanymi. Uwierzytelniony użytkownik może wstrzyknąć złośliwy JavaScript, który wykona się, gdy inny użytkownik przejdzie do sekcji Tools i uruchomi aktualizację bazy gravity. Podatność naprawiono w wersji 6.3.
Oryginalny opis (angielski, źródło NVD)
Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level advertisement and internet tracker blocking application. Pi-hole Admin Interface versions 6.2.1 and earlier are vulnerable to reflected cross-site scripting (XSS) via a malformed URL path. The 404 error page includes the requested path in the class attribute of the body tag without proper sanitization or escaping. An attacker can craft a URL containing an onload attribute that will execute arbitrary JavaScript code in the browser when a victim visits the malicious link. If an attacker sends a crafted pi-hole link to a victim and the victim visits it, attacker-controlled JavaScript code is executed in the browser of the victim. This has been patched in version 6.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS